CVE-2026-15257

Nieuwierzytelniony atakujący może wstrzyknąć obiekty PHP (PHP Object Injection) w wtyczce RegistrationMagic w wersjach do 6.0.9.7.

Wersje RegistrationMagic do 6.0.8.6 mają lukę w niezautoryzowanej autoryzacji, co może umożliwić atakującym przejęcie kont użytkowników.

Wtyczka RegistrationMagic dla WordPressa przed wersją 6.0.9.4 nie sanityzuje i nie escapuje parametru przed użyciem w zapytaniu SQL, co może pozwolić użytkownikom z wysokimi uprawnieniami, takim jak administrator, na przeprowadzenie ataków SQL injection.

Wtyczka RegistrationMagic dla WordPressa przed wersją 6.0.9.5 nie porównuje zweryfikowanej kwoty, waluty, odbiorcy ani wcześniejszego użycia przechwycenia PayPal z rejestracją, którą finalizuje: jej kontrola po stronie serwera potwierdza jedynie, że status przechwycenia to COMPLETED. Nieuwierzytelniony atakujący może więc sfinalizować kosztowną płatną rejestrację dowolnym faktycznie ukończonym przechwyceniem o niskiej wartości oraz odtwarzać pojedyncze przechwycenie w nieograniczonej liczbie rejestracji, ponieważ przechwycenia nie są deduplikowane.

Wtyczka RegistrationMagic dla WordPressa przed wersją 6.0.9.4 nie weryfikuje poprawnie, czy jednorazowe hasło w ciasteczku należy do żądanej tożsamości, co pozwala nieuwierzytelnionym atakującym odczytywać zgłoszenia innych użytkowników, w tym dane osobowe.

Wtyczka RegistrationMagic dla WordPressa do wersji 6.0.8.6 zawiera podatność umożliwiającą ominięcie uwierzytelniania. Wynika to z braku weryfikacji autentyczności danych w handlerze PayPal IPN, który jest dostępny dla niezalogowanych użytkowników i aktualizuje bazę danych przed walidacją IPN. Atakujący może sfałszować żądanie IPN, nadpisać identyfikator użytkownika w rekordzie płatności, a następnie uzyskać sesję uwierzytelniającą dla dowolnego konta, w tym administratora.